COLDCARD比特币钱包种子生成算法中的一项严重漏洞在自我托管钱包社区引发了深切忧虑。此前有报道称，约594枚BTC——按当前市场价格估值近4000万美元——从可能与此漏洞相关的钱包中被盗。这一发现使数百个硬件钱包面临风险，也促使COLDCARD产品线背后的公司Coinkite做出紧急响应。COLDCARD设备因其气隙隔离设计和开源架构而被比特币持有者广泛使用，使得该漏洞对于依赖这些设备进行长期冷存储的用户而言尤为重要。

COLDCARD发布紧急安全公告

Coinkite发布了紧急安全公告，警告在运行4.0.1及以上固件版本的Mk3设备上生成的钱包种子可能存在被利用的风险。

COLDCARD Mk3安全公告

如果您在Mk3上于固件4.0.1之后生成了种子，您的资金可能面临风险。

根据我们的初步分析，Mk4、Q和Mk5不受影响。

请阅读公告并谨慎迁移：

— COLDCARD (@COLDCARDwallet) 2026年7月30日

该公司表示，一系列软件缺陷导致硬件随机数生成器在创建钱包种子时无法贡献预期的熵值。因此，种子生成的某些环节依赖于基于软件的、安全性较低的随机化方案，而非用户所期望的更安全的硬件熵源。从密码学角度来看，钱包种子——通常以BIP39标准下的12词或24词恢复短语表示——派生出钱包中的每个私钥。如果种子的熵不足，可能的种子空间可能小到攻击者能够重建，从而获得对所有关联资金的完全访问权限。

Coinkite随后确认，在新发布的固件更新之前生成的种子也可能受到影响。不过，该公司估计对其特定设备的安全影响非常低。在初始钱包设置中进行了50次或以上私人骰子滚动操作的用户被认为相对安全，因为他们提供了自己的熵源，而非依赖设备的有缺陷的生成器。

约594枚BTC被盗

在有关约594枚BTC从与该漏洞相关的钱包中被盗的报道传出后，此次披露立即引起了广泛关注。按当前市场价格计算，这一数额接近4000万美元的比特币。据称盗窃发生在上个周末。

AI作为可能的攻击手段

Coinkite指出，如果攻击者成功利用了该弱点，他们可能采用了先进的AI算法来分析公开的源代码。COLDCARD的固件是开源的，该公司承认威胁行为者可能利用了最先进的人工智能工具来发现传统代码审查方法未能检测到的漏洞。

值得注意的是，Coinkite补充说，它最近使用业内最受欢迎的AI模型之一对自身代码库进行了全面审计——而在那次审查中仍然发现了该错误。该公司表示，调查仍在进行中，对攻击实施方式的理解仍处于初步阶段。

发布紧急固件更新；用户被敦促迁移资金

Coinkite已为其当前一代设备发布了紧急固件更新，包括Mk4和Mk5型号的5.6.0版本以及Q设备的1.5.0Q版本。

然而，该公司强调，仅更新固件无法修复已通过有缺陷的种子生成流程创建的钱包。用户需要在执行固件更新后创建新的种子，并将所有资金转移到新生成的钱包中。